JP2010531516A

JP2010531516A - Device provisioning and domain join emulation over insecure networks

Info

Publication number: JP2010531516A
Application number: JP2010514942A
Authority: JP
Inventors: ハーゾグ，シャイ; コッター，ポール
Original assignee: Microsoft Corp
Current assignee: Microsoft Corp
Priority date: 2007-06-25
Filing date: 2008-06-11
Publication date: 2010-09-24
Also published as: CN101689991A; EP2171911A4; EP2171911A2; TW200920068A; KR20100029098A; WO2009002705A2; US20080320566A1; WO2009002705A3

Abstract

安全でないネットワークを介し、クライアントに対するドメイン加入操作を可能にするプロキシサービス。加入操作は、ユーザー信用証明書ではなく、マシン識別情報を使用することによって最小限のセキュリティ公開を用いて達成される。プロキシは、ユーザーアカウントの追加も既存アカウントの所有権の取得もせずに、新しいマシンアカウントを企業ディレクトリに追加することに関連する権限を使用するだけである。プロキシによって、デリゲーションのような従来技法ではなく、実際のマシンアカウント信用証明書に基づく認証が、署名済証書を取得可能にする。更に、登録プロセスは、公共信託を要求したりそれに依存するのではなく、装置とプロキシの間の本来の信用関係を採用する。
【選択図】図１A proxy service that allows domain join operations for clients over an insecure network. The enrollment operation is accomplished with minimal security exposure by using machine identification information rather than user credentials. The proxy only uses the permissions associated with adding a new machine account to the corporate directory without adding a user account or taking ownership of an existing account. With a proxy, authentication based on actual machine account credentials rather than conventional techniques like delegation makes it possible to obtain a signed certificate. Furthermore, the registration process does not require or rely on a public trust, but employs the original trust relationship between the device and the proxy.
[Selection] Figure 1

Description

本発明は、ネットワークを介しクライアントに対するドメイン加入操作を可能にするプロキシサービスに関する。 The present invention relates to a proxy service that enables a domain join operation for a client via a network.

法人の計算機は、通常、（例えばマイクロソフトネットワークにおいて）「ドメイン」又は非マイクロソフトネットワーク（例えば、Ｎｏｖｅｌｌ（登録商標）ディレクトリ、イエローページその他）において類似の名前で呼ばれている、コミュニティ機構を介し識別され管理されている。ドメインメンバー資格は、特定のマシンを識別し、マシンのコンテンツ（例えば、ポリシー、ソフトウェア、及びコンフィギュレーション）を集中管理するために、法人導入の多くにおいて必須であると考えられている。 Legal computers are typically identified through a community mechanism that is referred to by a similar name in a “domain” or non-Microsoft network (eg, Novell Directory, Yellow Pages, etc.) (eg, in the Microsoft network). It is managed. Domain membership is considered essential in many corporate deployments to identify specific machines and to centrally manage machine content (eg, policies, software, and configurations).

例えばラップトップのような携帯用計算機に関して、ドメインメンバーになることは、通常、ユーザー名及びパスワードのような認証の信用証明書を介する認可を必要とする。いくつかの処理の後、計算機が、ドメインに加入される。ドメインにマシンを加入させようとしているユーザーを認証する信用証明書が、例えば、手動か又はスマートカードを介し提供され得る。 For example, for a portable computer such as a laptop, becoming a domain member usually requires authorization through authentication credentials such as a username and password. After some processing, the computer is joined to the domain. Credentials authenticating a user attempting to join a machine to the domain can be provided, for example, manually or via a smart card.

例えば、携帯電話がドメイン加入操作を実行するための技術的な設備を有していない点でモバイル装置は、この領域における困難性を提示している。携帯電話が今まで企業ネットワークにおいて、めったに使用されていないならば、供給メーカーがそのような装置に対する解決法を提供するには、多くの時間が必要である。したがって、スマートカード解決は扱いにくく、ユーザー名／パスワードのようなユーザー信用証明書は、認証が末端間でない場合、危険に晒され得る。 For example, mobile devices present difficulties in this area in that mobile phones do not have the technical equipment to perform domain join operations. If mobile phones have rarely been used in corporate networks until now, it takes a lot of time for a supplier to provide a solution for such a device. Thus, smart card resolution is cumbersome and user credentials such as username / password can be compromised if authentication is not end-to-end.

ドメインコントローラーは、企業ネットワークにおいてセキュリティの要であると考えられていて、ファイアウォール及び独立した他の隔離装置の背後で十分に保護されるように期待されている。特に、モバイル装置は、多くの場合、リモート（又は企業のイントラネットの外側）にあって、企業ドメインコントローラーに対する直接アクセスを有しないので、そのような装置の多くは、企業ドメインに首尾よく加入するための必要なソフトウェアコンポーネントが不足している。困難性は、多角的であって、携帯電話からネットワークに対するソフトウェアギャップを埋めることと、安全でない（無線又はＯＴＡを介する）無線公開インターフェースを介し企業ネットワーク外部からの加入操作を安全に実行することと、を含む。 Domain controllers are considered a key point of security in corporate networks and are expected to be well protected behind firewalls and other isolated devices. In particular, since mobile devices are often remote (or outside the corporate intranet) and do not have direct access to the corporate domain controller, many such devices are intended to successfully join the corporate domain. The required software components are missing. The difficulties are multi-faceted, filling the software gap from the mobile phone to the network, and securely performing subscription operations from outside the corporate network via an insecure (wireless or OTA) wireless public interface. ,including.

本発明の目的は、クライアント装置とプロキシの間の本来の信用関係を使用し、ドメイン加入機能を提供することである。 An object of the present invention is to provide a domain subscription function using the original trust relationship between the client device and the proxy.

以下に、本明細書において説明されている新たな実施形態の基本的な理解を提供するために、簡易化された概要を提示する。この概要は、広範囲に及ぶ概要ではなく、主要／重要なエレメントの特定をすることも、その範囲を図で表わすようことも意図されていない。その唯一の目的は、後で提示される更に詳細な説明に対する前置きとして、簡易化された形式でいくつかの概念を提示することである。 The following presents a simplified summary in order to provide a basic understanding of the new embodiments described herein. This summary is not an extensive overview and is not intended to identify key / critical elements nor to depict the scope in a diagram. Its sole purpose is to present some concepts in a simplified form as a prelude to the more detailed description that is presented later.

開示されているアーキテクチャは、モバイルクライアントに対するドメイン加入操作を円滑にする登録プロキシを含む。クライアントをプライベートドメインに加入させるために、モバイルクライアントの代わりにソフトウェアを作動し接続ギャップを埋めるプロキシが、パブリックドメイン（例えばインターネット）から無線（ＯＴＡ）を介しアクセス可能である。一つの新規性は、インターネットに公開されているサービスが、生得の権利を有しておらず、その妥協が、プライベートドメインに対し、大きく低減されたリスクを提示するという点にある。本アーキテクチャは、加入操作を容易にするための仲介サービスとしてプロキシを導入し、一旦、動作完了すると、プロキシは、もはやクライアントとプライベートドメインの間の接続を維持することを必要としない。 The disclosed architecture includes a registration proxy that facilitates domain subscription operations for mobile clients. To join a client to the private domain, a proxy that operates software on behalf of the mobile client and fills the connection gap is accessible from the public domain (eg, the Internet) over the air (OTA). One novelty is that services published on the Internet do not have innate rights and the compromise presents greatly reduced risk to the private domain. This architecture introduces a proxy as an intermediary service to facilitate subscription operations, and once the operation is complete, the proxy no longer needs to maintain a connection between the client and the private domain.

第１の実装において、プロキシによるドメイン加入が、モバイル装置のユーザーによってプロキシに提供されるユーザー名及びパスワードだけを使用して達成される。モバイルクライアントの代わりにプロキシは、プライベートドメインのアカウントを確立する。プライベートドメイン及びプロキシは、信用関係を有しているが、プロキシは、セキュリティリスクのためプライベートドメインの公開を抑制する。 In a first implementation, domain subscription by proxy is achieved using only the username and password provided to the proxy by the user of the mobile device. The proxy on behalf of the mobile client establishes a private domain account. The private domain and the proxy have a trust relationship, but the proxy suppresses the disclosure of the private domain due to a security risk.

更に、第２の堅牢で安全な実装においては、ワンタイムパスワード（ＯＴＰ）が採用される。登録プロキシが、モバイルクライアントに対するプロキシを介したドメイン加入操作を可能にする。加入操作が、最小限のセキュリティ公開を用いて達成される。加入操作は、ユーザー信用証明書（例えばユーザー名及びパスワード）ではなく、モバイル装置のマシン識別に基づいていて、したがってユーザーの識別情報を危険に晒すことに関する潜在的な（例えばなりすまし犯罪）リスクがない。登録プロキシは、新しいマシンアカウントを企業（又は法人）ディレクトリに追加するための権限だけを必要とし、プロキシは、ユーザーアカウントの追加も既存アカウントの所有権を取得するための権限も付与されない。登録プロキシは、デリゲーションのような従来技法を使用するのではなく、実際のマシンアカウント信用証明書に基づいて署名済証書を取得する。登録プロセスは、公共信託を要求したりそれに依存するのではなく、モバイル装置と登録サーバーの間のプライベートルート信用を採用する。最終的に、クライアントは、企業ディレクトリ（例えばマイクロソフト社によるアクティブディレクトリ（ＡｃｔｉｖｅＤｉｒｅｃｔｏｒｙ））のプライベートドメインにおいて、マシン識別を付与され、そのアカウントに関連付けられたドメインメンバーとして自己認証を許可する署名済公開信用証明書（例えば公開鍵認証基盤規格のＸ．５０９）を受信する。 Furthermore, a second robust and secure implementation employs a one-time password (OTP). A registration proxy allows domain subscription operations through a proxy for mobile clients. The join operation is accomplished with minimal security exposure. The enrollment operation is based on the machine identity of the mobile device, not the user credentials (eg username and password), and therefore there is no potential (eg impersonation crime) risk associated with compromising the identity of the user. . The registration proxy only needs the authority to add new machine accounts to the corporate (or corporate) directory, and the proxy is not granted the authority to add user accounts or take ownership of existing accounts. The registration proxy does not use conventional techniques such as delegation, but obtains a signed certificate based on the actual machine account credentials. The registration process employs private root trust between the mobile device and the registration server, rather than requiring or relying on a public trust. Eventually, the client is granted a machine identity in a private domain of a corporate directory (eg, Active Directory by Microsoft) and is signed public credit that allows self-authentication as a domain member associated with that account. A certificate (for example, X.509 of the public key authentication infrastructure standard) is received.

前述の関連した結論に達成するための例示的ないくつかの機能を、以下の説明及び添付された図面に関連し本明細書に説明する。しかしながら、これらの機能は、本明細書に開示されている原理が使用され得るほんのいくつかの様々な方法を示しており、機能及びそれらの同等物すべてを含むように意図されている。他の利点及び新たな機能が、図面に関連し考えられるとき、以下の詳細説明から明らかになるだろう。 Several illustrative features for achieving the foregoing related conclusions are described herein in connection with the following description and the accompanying drawings. However, these functions illustrate only a few different ways in which the principles disclosed herein can be used and are intended to include all functions and their equivalents. Other advantages and new features will become apparent from the following detailed description when considered in conjunction with the drawings.

装置をドメインに加入させるための、計算機に実装されるドメインメンバー資格管理システムを例示する。1 illustrates a domain member credential management system implemented in a computer for joining a device to a domain. ドメインに対するドメインメンバー資格を管理するための代替システムを例示する。Fig. 6 illustrates an alternative system for managing domain membership for a domain. 少なくともブートストラップ及び認証目的のために、ドメインデータストアに存続している情報を例示する。Illustrates information persisted in the domain data store for at least bootstrap and authentication purposes. ドメインメンバー資格管理方法を例示する。Illustrate domain membership management method. 信用関係及び認証の確立を支援するデータのデータストアへの存続方法を例示する。Fig. 6 illustrates a method for surviving data in a data store to assist in establishing trust relationships and authentication. プロキシサーバーを認証するための装置による認証情報の提供方法を例示する。An example of a method for providing authentication information by an apparatus for authenticating a proxy server will be described. プロキシを認証することによる装置の登録方法を例示する。The apparatus registration method by authenticating a proxy is illustrated. プロキシに対するクライアントの認証方法を例示する。2 illustrates a client authentication method for a proxy. 装置及びプロキシの認証後の信用証明書の取得方法を例示する。6 illustrates an example of a method for acquiring a credential after authentication of a device and a proxy. ドメイン登録のための信用証明書の取得方法を例示する。An example of how to obtain a credential for domain registration is shown below. 安全でないプロビジョニング及びドメイン加入のエミュレーションを提供するために作動可能な計算システムのブロック図を例示する。FIG. 4 illustrates a block diagram of a computing system operable to provide insecure provisioning and domain subscription emulation. 安全でないプロビジョニング及びドメイン加入のエミュレーションを円滑にする例示的な計算環境の概略ブロック図を例示する。FIG. 4 illustrates a schematic block diagram of an exemplary computing environment that facilitates insecure provisioning and domain subscription emulation.

開示されるアーキテクチャは、一般に、（例えば企業）プライベートドメインに対するアクセスを求めている（例えばモバイル）クライアントに関連し、従来の安全でない接続性及びアクセス問題を解決する単一の安全な仕組みを提供する。本解決策は、公開ネットワーク（例えばインターネット）のクライアントに無線（ＯＴＡ）を介しアクセス可能な登録プロキシから成っていて、ユーザー信用証明書又はマシン信用証明書のいずれかに基づいて、クライアントに対するドメイン加入操作を円滑にし、その後、接続からそれ自身を解除する。最終的に、クライアントは、プライベートドメインにおけるメンバー資格を与えられる。 The disclosed architecture is generally associated with (e.g., mobile) clients seeking access to (e.g., corporate) private domains and provides a single secure mechanism that solves traditional insecure connectivity and access problems. . The solution consists of a registration proxy that is accessible over the air (OTA) to clients in a public network (eg the Internet) and is based on either user credentials or machine credentials. Facilitates operation and then disconnects itself from the connection. Finally, the client is given membership in the private domain.

ここで、同一の参照番号を始めから終わりまで同様のエレメントを参照するために使用し、図面を参照する。以下の記載において説明のために、特定の多くの詳細を、その徹底的な理解を提供するために詳細に説明する。しかしながら、これらの特定の詳細化をせずに新たな実施形態を実装し得ることは明白であり得る。他の実例においては、周知の構造及び装置を、その説明を円滑にするために、ブロック図形式で示す。 Here, the same reference numbers are used to refer to similar elements from start to finish and reference is made to the drawings. In the following description, for purposes of explanation, numerous specific details are set forth in detail in order to provide a thorough understanding thereof. It may be evident, however, that new embodiments may be implemented without these specific details. In other instances, well-known structures and devices are shown in block diagram form in order to facilitate their description.

まず図面を参照して図１には、ドメインメンバー資格を管理するための、計算機に実装されるシステム（１００）を例示する。システム（１００）は、登録プロキシサーバー（１０６）を介しモバイルクライアント（１０２）をプライベートドメイン（１０４）に加入させるための仕組みを提供する。プロキシ（１０６）は、（例えば携帯電話）モバイルクライアント（１０２）が作動するパブリックドメインと（例えば企業体の）プライベートドメイン（１０４）の間のインターフェースを提供する。この実装において、ドメイン加入は、モバイルクライアント（１０２）のユーザーによって提供されるユーザー名及びパスワード形式のユーザー信用証明書に基づいている。プロキシ（１０６）は、ユーザー名及びパスワードを与えられ、クライアント（１０２）をドメイン（１０４）に加入させるために、ドメイン（１０４）に対するクライアント（１０２）の代わりをする。 Referring initially to the drawings, FIG. 1 illustrates a system (100) implemented in a computer for managing domain membership. The system (100) provides a mechanism for allowing a mobile client (102) to join a private domain (104) via a registration proxy server (106). The proxy (106) provides an interface between the public domain (eg, mobile phone) and the private domain (eg, corporate) where the mobile client (102) operates. In this implementation, the domain subscription is based on user credentials in the form of a username and password provided by the user of the mobile client (102). The proxy (106) is given a username and password and substitutes for the client (102) for the domain (104) to join the client (102) to the domain (104).

その支援において、プロキシ（１００）は、モバイルクライアント（１０２）からユーザー信用証明書を受信し、ユーザー信用証明書をプロキシ（１０６）の認証コンポーネント（１１０）と通信させるためのブートストラップコンポーネント（１０８）を含む。認証コンポーネント（１１０）は、その後、クライアント（１０２）の代わりにプライベートドメインに対する認証を実行し、ユーザー信用証明書に基づいてプライベートドメインにおけるマシンアカウントを生成する。以下の実装において、使用されるワンタイムパスワード（ＯＴＰ）又は単一利用個人識別番号（ＰＩＮ）を使用するためのリクエストは、存在しない。 In support thereof, the proxy (100) receives the user credentials from the mobile client (102) and communicates the user credentials with the authentication component (110) of the proxy (106). including. The authentication component (110) then performs authentication for the private domain on behalf of the client (102) and generates a machine account in the private domain based on the user credentials. In the following implementation, there is no request to use the One Time Password (OTP) or Single Use Personal Identification Number (PIN) used.

図２には、ドメインに対するメンバー資格を管理するための代替手段であって、更に堅牢なシステム（２００）を例示する。以下は、高度なシステムオペレーションに関する説明で始めて、エンティティ間のプロセスの詳細な説明を続ける。 FIG. 2 illustrates an alternative and more robust system (200) for managing membership for a domain. The following begins with a description of advanced system operations and continues with a detailed description of processes between entities.

システム（２００）は、（例えば、モバイル、携帯用計算機）装置（２０２）をプライベートドメイン（１０４）に加入させるための２段階の処理を円滑にする。第１段階は、本明細書において、以下「基本」信用関係として参照される装置（２０２）とプロキシ（１０６）の間の信用関係を生み出すことに関する。基本信用関係は、それ自体が２つの部分プロセスであって、処理装置（２０２）は、プロキシ（１０６）が的確なプロキシであることを確証し、プロキシ（１０６）は、装置（２０２）がドメイン（１０４）に対する接続を許可されていることを確証する。一旦、確立されると、基本信用関係は、もはやプロキシ（１０６）を必要としない。第２段階は、本明細書において、以下「完全」信用関係として参照される装置（２０２）とプライベートドメイン（１０４）の間の信用関係を生み出す。同様に、一旦、確立されると、完全信用関係は、もはやプロキシ（１０６）を必要としない。 The system (200) facilitates a two-step process for joining a device (202) to a private domain (104) (eg, mobile, portable computer). The first stage relates to creating a trust relationship between the device (202) and the proxy (106), referred to herein as the "basic" trust relationship. The basic trust relationship is itself a two-part process in which the processing device (202) confirms that the proxy (106) is the correct proxy and the proxy (106) Confirm that connection to (104) is allowed. Once established, the basic trust relationship no longer requires a proxy (106). The second stage creates a trust relationship between the device (202) and the private domain (104), referred to herein as the “full” trust relationship. Similarly, once established, a full trust relationship no longer requires a proxy (106).

システム（２００）の動作は、図１のシステム（１００）において使用されるユーザー信用証明書ではなくて、ＯＴＰ（又はＰＩＮ）のような別のタイプの信用証明書に基づいている。この説明のために、ユーザーは、プライベートドメイン（１０４）との以前の対話に関連付けられたＯＴＰを提供されていて、ユーザー及びプライベートドメイン双方が、同一の信用証明書を共有していると仮定している。ユーザー装置がＯＴＰを取得する手段は、従来の任意の安全又は安全でない仕組みによるものであり得る。ユーザー装置もドメインいずれもＯＴＰを提供（又はアクセス）し得ない場合、そのドメイン加入操作が終了する。 The operation of the system (200) is based on another type of credential, such as OTP (or PIN), rather than the user credential used in the system (100) of FIG. For purposes of this description, assume that the user has been provided with an OTP associated with a previous interaction with the private domain (104), and both the user and the private domain share the same credentials. ing. The means by which the user device obtains the OTP can be by any conventional safe or insecure mechanism. If neither the user device nor the domain can provide (or access) the OTP, the domain joining operation ends.

通常、対話は、装置（２０２）からプロキシ（１０６）に対する基本信用関係の確立によって始まる。装置（２０２）は、プロキシ（１０６）が的確なプロキシであることを保証するためのチェックをする。これは、プロキシ（１０６）に法人信用情報に関するリクエストを送信する装置によって達せられる。プロキシ（１０６）は、信用情報の署名ハッシュも暗号化して生成し得、ハッシュは、既に定義されているＯＴＰから導出されるキーを使用し生成される。ＯＴＰを使用し装置（２０２）に同一のハッシュを生成することによって、装置（２０２）は、プロキシ（１０６）が基本信用関係を確立するための「的確」なプロキシであることを検証し得る。プロキシ（１０６）がこの信用証明書サーバーにアクセスできない場合、プロキシ（１０６）は、基本信用関係の確立のための「的確」なプロキシでなくて、プロセスが終了する。 Usually, the interaction begins with the establishment of a basic trust relationship from the device (202) to the proxy (106). Device (202) checks to ensure that proxy (106) is the correct proxy. This is achieved by a device that sends a request for corporate credit information to the proxy (106). The proxy (106) may also generate a signature signature hash of the credential, which is generated using a key derived from an already defined OTP. By generating the same hash for the device (202) using OTP, the device (202) may verify that the proxy (106) is a “proper” proxy for establishing a basic trust relationship. If the proxy (106) is unable to access this credential server, the proxy (106) is not an “appropriate” proxy for establishing a basic trust relationship and the process ends.

一旦、装置（２０２）からプロキシ（１０６）に対する第１の基本信用関係部が確立されると、第２の基本信用関係部は、その後、装置（２０２）がプライベートドメイン（１０４）に加入を許可され得る装置かチェックする、プロキシ（１０６）を含む。一旦、この双方向の基本信用関係が、装置（２０２）とプロキシ（１０６）の間に確立されると、プロキシ（１０６）は、信用証明書を取得するために、装置（２０２）の代わりに動作し、装置は、その後、アクセス可能なマシンアカウントを生成する。これは、マシンアカウント（２０６）をホスティングするためのドメインデータストア（２０４）及び確立される完全信用関係に関する信用証明書を発行するためのドメイン認証機関（２０８）の使用を含む。 Once the first basic trust relationship from the device (202) to the proxy (106) is established, the second basic trust relationship then allows the device (202) to join the private domain (104). A proxy (106) is included to check if the device can be done. Once this bi-directional basic trust relationship has been established between the device (202) and the proxy (106), the proxy (106) can replace the device (202) to obtain credentials. Operates and the device then creates an accessible machine account. This includes the use of a domain data store (204) for hosting the machine account (206) and a domain certificate authority (208) for issuing credentials relating to the full trust relationship established.

プロセスの更に詳細な説明を続ける前に、一定の情報が、ユーザーに提供されているＯＴＰに基づいてドメイン（１０４）に（例えばデータストア（２０４）に）生成され、ドメイン（１０４）にもストアされることを理解されよう。以下、ＯＴＰ、ＯＴＰから取得される暗号化キー、装置のマシンアカウント（２０６）に関する名前、装置（２０２）の所有者に対するリファレンス（例えば所有者のデータストアアカウント識別子）、装置のマシンアカウント（２０６）に関するデータストア（２０４）における目標コンテナ識別子、上記暗号化キーを使用し導出されるユーザー識別文字列（例えば装置の所有者の電子メールアドレス）のハッシュキー符号化（例えばＨＭＡＣハッシュマシン認証コード）ダイジェスト、及びマシンアカウント（２０６）の情報が、ドメインに生成され存続されている。データストア（２０４）は、ファイル、データベース、アプリケーションパーティションなどであり得る。例えば、ダイジェストは、ユーザーログインＩＤ又は単語「ａｎｏｎｙｍｏｕｓ」のような任意の暗号化種もあり得ることに留意されたい。 Before continuing with a more detailed description of the process, certain information is generated in the domain (104) (eg, in the data store (204)) based on the OTP provided to the user and stored in the domain (104). Will be understood. Hereinafter, the OTP, the encryption key acquired from the OTP, the name related to the machine account (206) of the device, the reference to the owner of the device (202) (for example, the data store account identifier of the owner), the machine account (206) of the device Hash key encoding (eg HMAC hash machine authentication code) digest of target container identifier in data store (204), user identification string (eg, email address of device owner) derived using said encryption key , And machine account (206) information is generated and persisted in the domain. The data store (204) can be a file, database, application partition, and the like. Note that, for example, the digest can be any encrypted species such as a user login ID or the word “anonymous”.

一般に、前述されたような登録は、プロキシ（１０６）の信頼性を検証する装置（２０２）によって第１の基本信用関係部を確立することを含む。これを達成するために、装置（２０２）は、ウェブサービスを呼び出すことによって、プロキシ（１０６）にＨＭＡＣダイジェストを渡す。このウェブサービスは、チャネル暗号化のためにセキュアソケットレイヤー（ＳＳＬ）を使用するが、まだＳＳＬ認証を使用しない。プロキシ（１０６）は、その後、データストア（２０４）から既にストアされている暗号化キーをリトリーブし、プロキシのＳＳＬ信用証明書チェーン信用済ルートドメイン信用証明書のＨＭＡＣダイジェストを生成するために、その暗号化キーを使用する。このＨＭＡＣダイジェストは、対応するルートドメイン信用証明書と共に装置（２０２）に渡され、ＨＭＡＣダイジェストは、既に導出された暗号化キーを使用し、プロキシ（１０６）によって正しく計算されていることを検証する。 In general, registration as described above includes establishing a first basic trust relationship by the device (202) that verifies the authenticity of the proxy (106). To accomplish this, the device (202) passes the HMAC digest to the proxy (106) by invoking a web service. This web service uses Secure Sockets Layer (SSL) for channel encryption but does not yet use SSL authentication. The proxy (106) then retrieves the already-stored encryption key from the data store (204) and generates its HMAC digest for the proxy's SSL credential chain trusted root domain credential. Use an encryption key. This HMAC digest is passed to the device (202) along with the corresponding root domain credentials, and the HMAC digest uses the already derived encryption key and verifies that it is correctly calculated by the proxy (106). .

一旦、装置（２０２）は、ドメイン信用証明書が上記仕組みに従って信用され得ることを決定すると、装置（２０２）は、今度は、暗号化チャネルを用いたＳＳＬサーバー完全信用証明書を使用し、同一のプロキシ（１０６）に再接続する。装置（２０２）は、サーバーＳＳＬ信用証明書が、信用が既に決定されているドメイン信用証明書に逆に適切にリンク（又はチェーン）していることを検証するために再接続される。装置（２０２）は、その後、既に計算されている暗号化キーを使用し導出された信用証明書リクエストのＨＭＡＣダイジェストと共に信用証明書リクエスト（例えば公開鍵暗号化標準（ＰＫＣＳ）Ｎｏ．１０）を提出する。（ＰＫＣＳ＃１０標準信用証明書リクエストは、信用証明書の公開鍵をリクエストするために認証機関に送信されるメッセージ用フォーマットである。）プロキシ（１０６）は、信用証明書リクエストのＨＭＡＣダイジェストが、既に導出された暗号化キーを使用して提供された信用証明書リクエストから取得されることを検証し、それによって装置（２０２）を認証する。 Once the device (202) determines that the domain credential can be trusted according to the above scheme, the device (202) now uses the SSL server full credential using the encrypted channel and the same Reconnect to proxy (106). The device (202) is reconnected to verify that the server SSL credentials are properly linked (or chained) back to the domain credentials for which the trust has already been determined. The device (202) then submits a credential request (eg, Public Key Cryptography Standard (PKCS) No. 10) with an HMAC digest of the credential request derived using the already calculated encryption key. To do. (The PKCCS # 10 standard credential request is a format for a message that is sent to a certificate authority to request a public key for a credential.) The proxy (106) Verify that it is obtained from a credential request provided using an already derived encryption key, thereby authenticating the device (202).

プロキシ（１０６）は、その後、データストア（２０４）（例えばＡｃｔｉｖｅＤｉｒｅｃｔｏｒｙ）に新しいマシンアカウント（２０６）を生成するために、ＨＭＡＣダイジェストにリンクされているデータストア情報（図３の情報（３０４））を使用する。新しいマシンアカウント（２０６）は、認証コンポーネント（１１０）によってログインされ、ログインの間、認証機関（２０８）に信用証明書リクエストを提出するために使用される。発行された信用証明書が、その後、リトリーブされ、装置（２０２）に返却される。 The proxy (106) then creates data store information (information (304) in FIG. 3) linked to the HMAC digest to create a new machine account (206) in the data store (204) (eg, Active Directory). Is used. The new machine account (206) is logged in by the authentication component (110) and is used to submit a credential request to the certificate authority (208) during login. The issued credentials are then retrieved and returned to the device (202).

新たな機能のいくつかをまとめて、登録プロキシ（１０６）は、装置（２０２）に対するドメイン加入操作をエミュレーションする。加入操作は、ワンタイムパスワードに基づいており、したがって、ユーザー識別情報を危険に晒すリスクがない。更に、登録プロキシ（１０６）は、企業（又は法人）データストアに新しいマシンアカウントを追加するためにドメインに対する最小限のアクセスレベルを必要とするだけである。更に、登録プロキシ（１０６）は、ユーザーアカウントの追加も既存アカウントの所有権を取得するための権限も付与されない。クライアント装置（２０２）とプロキシ（１０６）の間に生み出された基本信用関係は、最終的に、装置（２０２）とプライベートドメイン（１０４）の間に完全信用関係を確立するために、プロキシ（１０６）によって使用される。マシン識別が、ドメインデータストア又はディレクトリ（例えばマイクロソフト社によるアクティブディレクトリ（登録商標））にストアされ得、装置（２０２）が、プライベートドメイン（１０４）メンバーとして、それ自体を認証可能にする署名済公開信用証明書（例えばＸ．５０９）を受信する。 Summarizing some of the new features, the registration proxy (106) emulates the domain join operation for the device (202). The subscription operation is based on a one-time password and therefore there is no risk of compromising user identification information. Furthermore, the registration proxy (106) only needs a minimum level of access to the domain to add a new machine account to the corporate (or corporate) data store. Furthermore, the registration proxy (106) is not granted the authority to add user accounts or acquire ownership of existing accounts. The basic trust relationship created between the client device (202) and the proxy (106) is finally used to establish a full trust relationship between the device (202) and the private domain (104). ). The machine identification can be stored in a domain data store or directory (eg, Active Directory by Microsoft), and the device (202) can sign itself as a private domain (104) member to authenticate itself A credential (eg X.509) is received.

任意の実施形態において、ＯＴＰは、ハードウェア特有である固有の装置識別子（ＩＤ）と組み合わせて使用され、プロキシ（１０６）に渡された識別情報は、ＯＴＰ及び装置ＩＤ双方を含む。これによって、ユーザーが有し得る別のモバイル装置、又は異なるユーザーによって異なる装置で使用され得る別のモバイル装置、を用いたＯＴＰは使用できない。一実装において、ＯＴＰの最初の処理に基づいて、装置（２０２）とプロキシ（１０６）の間の基本又は完全信用プロセスは、装置ＩＤを包含するように地位を上げられ得、その後、装置（２０２）に関する好都合又は不都合いずれかの信用プロセスを完了する。 In any embodiment, OTP is used in combination with a unique device identifier (ID) that is hardware specific, and the identification information passed to proxy (106) includes both OTP and device ID. This prevents the use of OTP with another mobile device that the user may have or another mobile device that may be used on different devices by different users. In one implementation, based on the initial processing of the OTP, the basic or fully trusted process between the device (202) and the proxy (106) may be elevated to include the device ID, after which the device (202 ) Complete either a favorable or inconvenient credit process.

図３には、ドメインデータストア（２０４）に存続している少なくともブートストラップ及び認証目的のための情報を例示する。以下の説明は、（例えば携帯電話）モバイル装置（３００）の文脈である。しかしながら、ＰＤＡ及びタブレット型ＰＣのような携帯用計算機及び他の無線装置が、開示されたドメイン登録アーキテクチャの利点を取得し得ることを理解されよう。 FIG. 3 illustrates at least information for bootstrap and authentication purposes that persists in the domain data store (204). The following description is in the context of a mobile device (300) (eg, a mobile phone). However, it will be appreciated that portable computers and other wireless devices such as PDAs and tablet PCs may obtain the benefits of the disclosed domain registration architecture.

ブートストラッププロセスは、既に取得されたＯＴＰ（３０２）を有するユーザーのモバイル装置に基づく。以下、図２の情報（３０４）である、ＯＴＰ（３０２）、ＯＴＰから導出される暗号化キー、（モバイル装置（３００）がそのドメインに対し「新しい」装置と見なされ、かくして装置（３００）の以前のマシンアカウントが存在しない）装置のマシンアカウント（２０６）に関する名前、モバイル装置（３００）の所有者に対するリファレンス（例えば所有者のデータストアアカウントの完全修飾ドメイン名（ＦＱＤＮ））、装置のマシンアカウント（２０６）に関するデータストア（２０４）における目標コンテナに対するリファレンス（例えばコンテナのＦＱＤＮ）、上記暗号化キーを使用し導出されるユーザー識別文字列（例えば装置の所有者の電子メールアドレス）のハッシュキー（例えばＨＭＡＣ）ダイジェスト、及びマシンアカウント（２０６）、がその後、生成され、仲介データストア（３０６）に存続している。 The bootstrap process is based on the user's mobile device with the OTP (302) already acquired. Hereinafter, the information (304) of FIG. 2, OTP (302), an encryption key derived from OTP, (the mobile device (300) is considered a “new” device for the domain, thus the device (300) Device machine account (206) name, reference to owner of mobile device (300) (eg fully qualified domain name (FQDN) of owner's data store account), device machine Reference to target container in data store (204) for account (206) (eg container FQDN), hash key of user identity string (eg device owner email address) derived using the above encryption key (Eg HMAC) digest and machine Und (206), but then, it is generated, and persist in mediating data store (306).

図４には、ドメインメンバー資格管理方法を例示する。説明を単純化するために、１つ以上の方法論が、例えば、流れ図又は流れ図形式で本明細書に示され一連の動作として説明されているが、動作の中には、それらに従って本明細書に示され説明されているものと異なる順番及び／又は他の動作と同時に発生し得るものもあるように本方法論が、動作の順序に制限されないことを理解され、十分に評価されよう。例えば、当業者は、方法論が代替として状態ダイヤグラムのような相関する一連の状態又は事象として提示され得ることを理解され、十分に評価されよう。更に、例示された動作すべてが、新たな実装のために必要とされ得るわけではない。 FIG. 4 illustrates a domain member qualification management method. To simplify the description, one or more methodologies have been illustrated and described herein as a series of operations, for example, in flowchart or flowchart form, and some operations are described herein accordingly. It will be appreciated and appreciated that the methodology is not limited to the order of operations, as some may occur in a different order and / or other actions than those shown and described. For example, those skilled in the art will understand and appreciate that a methodology can alternatively be presented as a series of correlated states or events, such as a state diagram. Moreover, not all illustrated operations may be required for new implementations.

（４００）において、ドメインに加入するための（例えばＯＴＰ）信用証明書が、モバイル装置から受信され、信用証明書は、無線インターフェースを介し、ドメインのプロキシサーバーによって受信される。（４０２）において、信用関係が、信用証明書に基づいて、モバイル装置とプロキシサーバーの間に確立される。（４０４）において、マシンアカウントが、信用関係に基づいてプロキシサーバーを介し、モバイル装置に関してそのドメインに生成される。（４０６）において、モバイル装置が、マシンアカウントに基づいて、ドメインに加入される。 At (400), credentials for joining the domain (eg, OTP) are received from the mobile device, and the credentials are received by the domain proxy server via the wireless interface. At 402, a trust relationship is established between the mobile device and the proxy server based on the credential. At (404), a machine account is created in the domain for the mobile device via the proxy server based on the trust relationship. At (406), the mobile device is joined to the domain based on the machine account.

図５には、信用関係及び認証プロセスの確立を支援するデータのデータストアへの存続方法を例示する。（５００）において、ＯＴＰが、他の手続き又はプロセスに従ってユーザーのモバイル装置に生成され割り当てられた後、プロキシが、データストアにＯＴＰ及び暗号化キーを存続している。（５０２）において、プロキシが、マシンアカウントに関する名前をデータストアに存続している。（５０４）において、プロキシが、装置に対するリファレンス（例えばユーザーの身元を識別する情報）をデータストアに存続している。（５０６）において、プロキシが、装置のマシンアカウントの目標コンテナのＦＱＤＮをデータストアに存続している。（５０８）において、プロキシが、上記の暗号化キーを使用して、暗号化種のハッシュキー符号ダイジェストをデータストアに存続している。 FIG. 5 illustrates a method for persisting data in a data store that supports establishment of a trust relationship and an authentication process. At (500), after the OTP is created and assigned to the user's mobile device according to other procedures or processes, the proxy persists the OTP and encryption key in the data store. At (502), the proxy persists a name for the machine account in the data store. At (504), the proxy maintains a reference to the device (eg, information identifying the user's identity) in the data store. At (506), the proxy persists the FQDN of the target container of the machine account of the device in the data store. At (508), the proxy uses the encryption key described above to keep the hash key code digest of the encrypted species in the data store.

図６には、プロキシサーバーを認証するために装置による認証情報の生成方法を例示する。（６００）において、装置が、既に取得されているＯＴＰに基づいて登録プロキシを介しプライベートドメインに対するアクセスを開始する。（６０２）において、装置が、ユーザー装置にユーザーアカウント情報及びＯＴＰに関してプロンプトする。（６０４）において、装置が、ＯＴＰを使用し暗号化キーを生成する。（６０６）において、装置が、暗号化キーを使用しユーザーアカウント情報のハッシュキー符号（例えばＨＭＡＣ）ダイジェストを生成する。 FIG. 6 illustrates a method for generating authentication information by an apparatus for authenticating a proxy server. At (600), the device initiates access to the private domain via the registration proxy based on the already acquired OTP. At (602), the device prompts the user device for user account information and OTP. In (604), the device generates an encryption key using OTP. At (606), the device generates a hash key code (eg, HMAC) digest of user account information using the encryption key.

図７には、プロキシ認証による（例えば携帯電話）装置の登録方法を例示する。（７００）において、プロキシが意図されているネットワークエンティティであることを保証するために、プロキシ認証の装置を起動する。（７０２）において、装置が、一般的な暗号化種（例えばユーザーアカウント又は別のユーザー識別情報）を使用し、ハッシュキー符号ダイジェスト形式の装置識別を生成する。（７０４）において、装置が、その後、プロキシにダイジェストを送信するために、チャネル暗号化を採用しているウェブサービスを呼び出す。ウェブサービスは、暗号化チャネル用ＳＳＬを使用し得るが、まだＳＳＬ認証を使用しない。（７０６）において、プロキシが、その後、既にストアされている暗号化キーをデータストアからリトリーブする。（７０８）において、プロキシが、サーバーＳＳＬ信用証明書チェーンのルート信用証明書のハッシュキー符号ダイジェスト（例えばＨＭＡＣ）を生成する。（７１０）において、プロキシが、ルート信用証明書及びルート信用証明書ダイジェストを装置に送信する。（７１２）において、装置は、ダイジェストが、ルート信用証明書を使用し、既に導出されている装置暗号化キーを使用し、プロキシによってダイジェストを再計算することによって正しく計算されたことを検証する。一旦、検証されると、装置は、ここでクライアントが通信を所望する意図されたネットワークエンティティとしてそのプロキシを信用する。 FIG. 7 illustrates a method for registering a device by proxy authentication (for example, a mobile phone). At 700, the proxy authentication device is activated to ensure that the proxy is the intended network entity. At (702), the device uses a general encryption species (eg, user account or other user identification information) to generate a device identification in the form of a hash key code digest. At (704), the device then invokes a web service that employs channel encryption to send a digest to the proxy. A web service may use SSL for an encrypted channel but does not yet use SSL authentication. At (706), the proxy then retrieves the already stored encryption key from the data store. At (708), the proxy generates a hash key code digest (eg, HMAC) of the root credential of the server SSL credential chain. At (710), the proxy sends a root credential and a root credential digest to the device. At (712), the device verifies that the digest was calculated correctly by using the root credentials, using the device encryption key already derived, and recalculating the digest by the proxy. Once verified, the device now trusts its proxy as the intended network entity that the client wishes to communicate with.

図８には、プロキシに対するクライアント認証方法を例示する。一旦、装置がプロキシを認証すると、プロキシが順番に装置を認証する。（８００）において、装置は、プロキシのＳＳＬ信用証明書が、信用されていることを既に決定されているドメイン信用証明書に逆に適切にリンク（又はチェーン）していることを検証するために、チャネル暗号化（例えばＳＳＬ）及びサーバーの完全信用証明書を使用し、プロキシに再接続する。（８０２）において、装置が、その後、既に計算されストアされている暗号化キーを使用し導出されるハッシュキー符号化ダイジェスト（例えばＨＭＡＣ）ダイジェスト信用証明書リクエストと共に信用証明書リクエストを提出する。（８０４）において、プロキシが既に導出された暗号化キーを使用して、信用証明書リクエストのダイジェストが提供された信用証明書リクエストから導出されていることを検証する。（８０６）において、首尾よく検証されたとき、プロキシが装置を認証している。 FIG. 8 illustrates a client authentication method for the proxy. Once the device authenticates the proxy, the proxy in turn authenticates the device. At (800), the device verifies that the proxy SSL credentials are properly linked (or chained) back to the domain credentials that have already been determined to be trusted. Reconnect to the proxy using channel encryption (eg SSL) and full server credentials. At (802), the device then submits a credential request along with a hash key encoded digest (eg, HMAC) digest credential request that is derived using an already calculated and stored encryption key. At (804), the proxy verifies that the digest of the credential request is derived from the provided credential request using the already derived encryption key. At (806), the proxy authenticates the device when successfully verified.

図９には、装置及びプロキシ認証後のドメイン信用証明書の取得方法を例示する。（９００）において、プロキシが、識別情報ダイジェストにリンクされているデータストア情報をリトリーブする。（９０２）において、プロキシが、データストアに新しいマシンアカウントを生成するために、データストア情報を使用する。（９０４）において、プロキシが、新しいマシンアカウントにログインする。（９０６）において、プロキシが、装置から受信された信用証明書リクエストを認証機関に提出する。（９０８）において、認証機関が、装置識別に基づいて署名済ドメイン信用証明書を発行する。（９１０）において、プロキシが、発行されたドメイン信用証明書を受信し、装置に送信する。装置は、ここでドメインサービスに対する完全アクセス手段を有する。 FIG. 9 illustrates an apparatus and a method for acquiring domain credentials after proxy authentication. At (900), the proxy retrieves the data store information linked to the identification information digest. At (902), the proxy uses the data store information to create a new machine account in the data store. At (904), the proxy logs into the new machine account. At (906), the proxy submits the credential request received from the device to the certificate authority. In (908), the certification authority issues a signed domain credential based on the device identification. At (910), the proxy receives and sends the issued domain credentials to the device. The device now has full access to the domain service.

対象アーキテクチャの意図するところにおいては、信用証明書を取得するためのデリゲートされた権利不足に基づいた信用証明書を取得するための仕組みが、企業サービスのためのプライベートドメインにアクセスしようとする装置に対し多大な利益を提供する。 As intended for the target architecture, a mechanism for obtaining a credential based on a delegated lack of rights to obtain a credential is provided to a device attempting to access a private domain for enterprise services. It provides tremendous benefits.

装置の代わりに信用証明書を取得するための従来のプロキシメカニズムは、プロキシが、装置からのパスワードをリクエストし、認証機関にパスワードを送信し、認証機関から署名済証書を受信し、その後、署名済証書を装置に転送することによって、装置を代行することである。 The traditional proxy mechanism for obtaining credentials on behalf of a device is that the proxy requests a password from the device, sends the password to the certificate authority, receives a signed certificate from the certificate authority, and then signs Acting on behalf of the device by transferring the certificate to the device.

本明細書に記載されているような「リバースデリゲーション」として考えられ得る従来のプロキシメカニズムに対する新たな代替手段が、新しいマシンアカウントに関連する信用証明書を取得し、その後、認証プロセスの終わりにおいて、アカウントの所有権を譲渡し、それによってドメインサービスに対する完全アクセスを信用証明書の受取人、この場合、装置に提供することである。 A new alternative to the traditional proxy mechanism, which can be considered as “reverse delegation” as described herein, obtains credentials associated with the new machine account, and then at the end of the authentication process: The transfer of account ownership, thereby providing full access to the domain service to the credential recipient, in this case the device.

図１０には、計算機に実装されるドメイン登録用信用証明書の取得方法を例示する。（１０００）において、プロキシの権限が、新しいマシンアカウントの生成だけに制限される。（１００２）において、プロキシが、ＯＴＰに関連するプロビジョニング情報に基づいて構成ディレクトリにモバイル装置に関する任意のマシンアカウントを生成する。（１００４）において、プロキシが、ドメインの認証機関からの信用証明書をリクエストする。（１００６）において、プロキシが、信用証明書リクエストのハッシュダイジェストを使用し、信用証明書のリクエスト計算を検証する。（１００８）において、プロキシが、認証機関から署名済クライアント信用証明書を受信する。（１０１０）において、プロキシが、モバイル装置に署名済信用証明書を送信することによって、マシンアカウントの所有権をモバイル装置に移譲する。（１０１２）において、プロキシが、署名済クライアント信用証明書をクライアントに送信後、マシンアカウントに対するアクセスを中止する。 FIG. 10 illustrates a method for obtaining a domain registration credential implemented in a computer. (1000), proxy authority is limited to creating new machine accounts. At (1002), the proxy creates an arbitrary machine account for the mobile device in the configuration directory based on provisioning information associated with the OTP. At (1004), the proxy requests credentials from the domain's certificate authority. At (1006), the proxy uses the hash digest of the credential request to verify the credential request calculation. At (1008), the proxy receives a signed client credential from the certificate authority. At (1010), the proxy transfers ownership of the machine account to the mobile device by sending a signed credential to the mobile device. At (1012), the proxy stops accessing the machine account after sending the signed client credentials to the client.

このアプリケーションにおいて使用される用語「コンポーネント」及び「システム」は、計算機に関連する、エンティティ、ハードウェア、ハードウェアとソフトウェアの組み合わせ、ソフトウェア、又は実行中のソフトウェアのいずれかを参照することを意図している。例えばコンポーネントは、プロセッサーにおいて実行するプロセス、プロセッサー、ハードディスクドライブ、複数の（光学及び／又は磁気記憶媒体）記憶装置、オブジェクト、実行可能な実行スレッド、プログラム、及び／又は計算機であり得るがこれらに限定しない。例示として、サーバーで動作するアプリケーション及びサーバー双方はコンポーネントであり得る。１つ以上のコンポーネントが、実行プロセス及び／又はスレッド内部に常駐し得、コンポーネントが、１つの計算機において局所化され得るか及び／又は２つ以上の計算機の間において分散され得る。 The terms “component” and “system” as used in this application are intended to refer to any entity, hardware, combination of hardware and software, software, or running software associated with a computer. ing. For example, a component can be, but is not limited to, a process executing on a processor, a processor, a hard disk drive, multiple (optical and / or magnetic storage media) storage devices, an object, an executable thread of execution, a program, and / or a computer. do not do. By way of illustration, both an application running on a server and the server can be a component. One or more components can reside within an execution process and / or thread, and the components can be localized on one computer and / or distributed between two or more computers.

ここで図１１を参照すると、安全でないプロビジョニング及びドメイン加入のエミュレーションを提供するために例示された作動可能な計算システム（１１００）のブロック図がある。その様々な機能に関する更なる文脈を提供するために、図１１及び以下の論述は、様々な機能が実装され得る適切な計算システム（１１００）の簡潔で一般的な説明を提供することを意図している。上記説明は、１つ以上の計算機において動作し得る計算機が実行可能な命令に関する一般的な文脈であるが、当業者は、新たな実施形態が、他のプログラムモジュールと組み合わせて実装され得るか及び／又はハードウェアとソフトウェアの組み合わせとして実装され得ることを認めよう。 Referring now to FIG. 11, there is a block diagram of an operable computing system (1100) illustrated to provide insecure provisioning and domain subscription emulation. In order to provide further context regarding its various functions, FIG. 11 and the following discussion are intended to provide a concise and general description of a suitable computing system (1100) in which various functions may be implemented. ing. While the above description is in the general context of instructions that can be executed by a computer that can run on one or more computers, those skilled in the art will recognize that the new embodiments may be implemented in combination with other program modules and It will be appreciated that it may be implemented as a combination of hardware and software.

一般にプログラムモジュールは、特定のタスクを実行するか又は特定の抽象データタイプを実装する、ルーチン、プログラム、コンポーネント、データ構造などを含む。更に当業者は、本発明の方法が、シングルプロセッサー又はマルチプロセッサーコンピューターシステム、ミニコンピューター、メインフレームコンピューター、及びパーソナルコンピューター、携帯用計算装置、マイクロプロセッサーベース又はプログラマブルコンシューマー電化製品、及び１つ以上の関連する装置と作動可能に接続され得るその他それぞれを含む他の計算機システム構成を用いて実施され得ることを理解されよう。 Generally, program modules include routines, programs, components, data structures, etc. that perform particular tasks or implement particular abstract data types. Further, those skilled in the art will recognize that the method of the present invention is a single processor or multiprocessor computer system, minicomputer, mainframe computer, and personal computer, portable computing device, microprocessor-based or programmable consumer appliance, and one or more associated It will be appreciated that other computer system configurations may be implemented, including each other that may be operatively connected to the device.

例示された機能は、いくつかのタスクが通信ネットワーク介し接続されているリモートプロセッシング装置によって実行される分散計算環境においても実施され得る。分散計算環境において、プログラムモジュールは、ローカル及びリモート双方のメモリー記憶装置に配置され得る。 The illustrated functions may also be practiced in distributed computing environments where certain tasks are performed by remote processing devices that are linked through a communications network. In a distributed computing environment, program modules can be located in both local and remote memory storage devices.

計算機は、通常、様々な計算機可読媒体を含む。計算機可読媒体は、計算機によってアクセスされ得る利用可能な任意の媒体であり得、揮発性媒体及び不揮発性媒体、取り外し可能媒体及び取り外し不可能媒体を含む。制限ではなく例として、計算機可読媒体は、計算機記憶媒体及び通信媒体を含む。計算機記憶媒体は、計算機可読命令、データ構造、プログラムモジュール、又は他のデータのような情報の記憶に関する任意の方法又は技術で実装される揮発性及び不揮発性取り外し可能及び取り外し不可能媒体を含む。計算機記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリー、又は他のメモリー技術、ＣＤ−ＲＯＭ、デジタルビデオディスク（ＤＶＤ）、又は他の光ディスク記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、又は他の磁気記憶装置、又は所望の情報をストアするために使用され得、計算機によってアクセスされ得る他の任意の媒体を含むがこれらに限定しない。 A computer typically includes a variety of computer-readable media. Computer readable media can be any available media that can be accessed by the computer and includes both volatile and nonvolatile media, removable and non-removable media. By way of example, and not limitation, computer readable media include computer storage media and communication media. Computer storage media includes volatile and non-volatile removable and non-removable media implemented in any method or technique for storage of information such as computer readable instructions, data structures, program modules, or other data. The computer storage medium may be RAM, ROM, EEPROM, flash memory, or other memory technology, CD-ROM, digital video disk (DVD), or other optical disk storage device, magnetic cassette, magnetic tape, magnetic disk storage device, or This includes but is not limited to other magnetic storage devices or any other medium that can be used to store the desired information and that can be accessed by the computer.

再び図１１を参照すると、様々な機能を実装するための例示的な計算システム（１１００）は計算機（１１０２）を含んでいて、計算機（１１０２）は、処理ユニット（１１０４）、システムメモリー（１１０６）及びシステムバス（１１０８）を含む。システムバス（１１０８）は、処理ユニット（１１０４）に接続されるシステムメモリー（１１０６）含むがこれに限定しないシステムコンポーネントに対するインターフェースを提供する。処理ユニット（１１０４）は、商用利用可能な様々な任意のプロセッサーであり得る。デュアルマイクロプロセッサー及び他のマルチプロセッサーアーキテクチャも処理ユニット（１１０４）として使用され得る。 Referring again to FIG. 11, an exemplary computing system (1100) for implementing various functions includes a computer (1102) that includes a processing unit (1104), a system memory (1106). And a system bus (1108). The system bus (1108) provides an interface to system components including, but not limited to, system memory (1106) connected to the processing unit (1104). The processing unit (1104) can be any of a variety of commercially available processors. Dual microprocessors and other multiprocessor architectures may also be used as the processing unit (1104).

システムバス（１１０８）は、更に（メモリーコントローラーの有無に関わらず）メモリーバス、周辺機器用バス、及び商用利用可能な様々な任意のバスアーキテクチャを使用してローカルバスと相互接続し得るいくつかのタイプの任意のバス構造であり得る。システムメモリー（１１０６）は、読み出し専用メモリー（ＲＯＭ）（１１１０）及びランダムアクセスメモリー（ＲＡＭ）（１１１２）を含む。基本的な入力／出力システム（ＢＩＯＳ）は、ＢＩＯＳが、始動中など計算機（１１０２）内のエレメント間に情報を送信する支援をする基本的なルーチンを含むＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭのような不揮発性メモリー（１１１０）にストアされる。ＲＡＭ（１１１２）は、データをキャッシュするためのスタティックＲＡＭのような高速ＲＡＭも含み得る。 The system bus (1108) further includes several memory buses (with or without a memory controller), peripheral buses, and several buses that can be interconnected with the local bus using any of a variety of commercially available bus architectures. It can be any type of bus structure. The system memory (1106) includes read only memory (ROM) (1110) and random access memory (RAM) (1112). A basic input / output system (BIOS) is non-volatile, such as ROM, EPROM, EEPROM, which contains basic routines that help the BIOS send information between elements within the computer (1102), such as during startup. Stored in memory (1110). The RAM (1112) may also include a high-speed RAM such as static RAM for caching data.

計算機（１１０２）は更に、内蔵ハードディスクドライブ（１１１４）が、（示されていない）適切な筐体の中に外付け利用向けにも構成され得る内蔵ハードディスクドライブ（ＨＤＤ）（１１１４）（例えばＥＩＤＥ，ＳＡＴＡ）、（例えば取り外し可能ディスケット（１１１８）から読み出すか又はそれに書き込む）磁気フロッピー（登録商標）ディスクドライブ（ＦＤＤ）（１１１６）及び（例えばＣＤ−ＲＯＭディスク（１１２２）から読み出すか又はそれに書き込むＤＶＤのような別の高容量光媒体から読み出すか又はそれに書き込むための）光ディスクドライブ（１１２０）を含む。ハードディスクドライブ（１１１４）、磁気ディスクドライブ（１１１６）、及び光ディスクドライブ（１１２０）は、ハードディスクドライブインターフェース（１１２４）、磁気ディスクドライブインターフェース（１１２６）、及び光ドライブインターフェース（１１２８）それぞれによって、システムバス（１１０８）に接続され得る。外付けドライブ実装用インターフェース（１１２４）は、ユニバーサルシリアルバス（ＵＳＢ）及びＩＥＥＥ１３９４インターフェース技術のうち少なくとも１つ又はその双方を含む。 The computer (1102) further includes an internal hard disk drive (HDD) (1114) (eg, EIDE,) in which the internal hard disk drive (1114) can be configured for external use in a suitable housing (not shown). SATA), magnetic floppy floppy disk drive (FDD) (1116) (e.g. read from or write to removable diskette (1118)) and DVDs read from or written to (e.g. CD-ROM disk (1122)) An optical disk drive (1120) for reading from or writing to another high capacity optical medium such as The hard disk drive (1114), magnetic disk drive (1116), and optical disk drive (1120) are connected to the system bus (1108) by a hard disk drive interface (1124), a magnetic disk drive interface (1126), and an optical drive interface (1128), respectively. ). The external drive implementation interface (1124) includes at least one or both of Universal Serial Bus (USB) and IEEE 1394 interface technologies.

ドライブ及びそれらに関連する計算機記憶媒体は、データ、データ構造、計算機実行可能命令など不揮発性記憶装置を提供する。計算機（１１０２）に関するドライブ及び媒体は、適切な任意のデジタルフォーマットのデータストレージに適応している。計算機可読媒体の上記の説明は、ＨＤＤ、取り外し可能磁気ディスケット、及びＣＤ又はＤＶＤのような取り外し可能光媒体を参照しているが、ＺＩＰドライブ、磁気カセット、フラッシュメモリーカード、カートリッジその他のような計算機によって別のタイプの可読媒体が、例示的な動作環境においても使用され得、更に、そのような任意の媒体が、開示された方法を実装するための計算機実行可能命令を含み得ることが当業者によって十分に理解されよう。 Drives and their associated computer storage media provide non-volatile storage such as data, data structures, computer-executable instructions. The drives and media for the computer (1102) are adapted for data storage in any suitable digital format. The above description of computer readable media refers to HDDs, removable magnetic diskettes, and removable optical media such as CDs or DVDs, but computers such as ZIP drives, magnetic cassettes, flash memory cards, cartridges, etc. Those skilled in the art will appreciate that other types of readable media may be used in the exemplary operating environment, and that any such media may include computer-executable instructions for implementing the disclosed methods. Will be fully understood.

オペレーティングシステム（１１３０）、１つ以上のアプリケーションプログラム（１１３２）、他のプログラムモジュール（１１３４）、及びプログラムデータ（１１３６）を含む多くのプログラムモジュールがドライブ及びＲＡＭ（１１１２）にストアされ得る。オペレーティングシステム、アプリケーション、モジュール、及び／又はデータすべて又は一部もＲＡＭ（１１１２）にキャッシュされ得る。開示されたアーキテクチャが、商用利用可能な様々なオペレーティングシステム又はオペレーティングシステムの組み合わせを用いて実装され得ることを十分に理解され得よう。 Many program modules may be stored in the drive and RAM (1112), including an operating system (1130), one or more application programs (1132), other program modules (1134), and program data (1136). All or part of the operating system, applications, modules, and / or data may also be cached in RAM (1112). It will be appreciated that the disclosed architecture can be implemented using various commercially available operating systems or combinations of operating systems.

アプリケーション（１１３２）及び／又はモジュール（１１３４）は、図１のプロキシサーバーのブートストラップ及び認証コンポーネント（１０８）及び（１１０）を含み得る。システム（１１００）がクライアント（１０２）である場合、アプリケーション（１１３２）及び／又はモジュール（１１３４）は、例えば暗号化キー及びハッシュキー符号化ダイジェストを生成するためのクライアントの処理能力を含み得る。図１及び図２のドメイン（１０４）に関する文脈において、システム（１１００）は、認証機関（２０８）、及び／又はデータストア（２０４）、及びマシンアカウント（２０６）を含み得る。 Applications (1132) and / or modules (1134) may include the bootstrap and authentication components (108) and (110) of the proxy server of FIG. If the system (1100) is a client (102), the application (1132) and / or the module (1134) may include the client's processing capabilities to generate, for example, encryption keys and hash key encoding digests. In the context of the domain (104) of FIGS. 1 and 2, the system (1100) may include a certificate authority (208) and / or a data store (204) and a machine account (206).

ユーザーは、１つ以上の有線／無線入力装置、例えばキーボード（１１３８）、及びマウス（１１４０）のようなポインティング装置を介し計算機（１１０２）にコマンド及び情報を入力し得る。（示されていない）他の入力装置は、マイクロフォン、赤外線リモートコントロール、ジョイスティック、ゲームパッド、スタイラスペン、タッチスクリーンなどを含み得る。これらの入力装置及び他の入力装置は、多くの場合、システムバス（１１０８）に接続されている入力装置インターフェース（１１４２）を介し、処理ユニット（１１０４）と接続されるが、パラレルポート、ＩＥＥＥ１３９４シリアルポート、ゲームポート、ＵＳＢポート、赤外線インターフェースその他のような別のインターフェースによって接続され得る。 A user may enter commands and information into the calculator (1102) via one or more wired / wireless input devices, such as a keyboard (1138) and a pointing device, such as a mouse (1140). Other input devices (not shown) may include a microphone, infrared remote control, joystick, game pad, stylus pen, touch screen, and the like. These and other input devices are often connected to the processing unit (1104) via the input device interface (1142) connected to the system bus (1108), but are connected to a parallel port, IEEE 1394 serial. It can be connected by another interface such as a port, game port, USB port, infrared interface, etc.

モニター（１１４４）又は別のタイプの表示装置もビデオアダプター（１１４６）のようなインターフェースを介しシステムバス（１１０８）に接続される。計算機は、通常、モニター（１１４４）に加え、スピーカー、プリンターのような（示されていない）別の周辺出力装置を含む。 A monitor (1144) or another type of display device is also connected to the system bus (1108) via an interface, such as a video adapter (1146). Computers typically include a monitor (1144) and other peripheral output devices (not shown) such as speakers and printers.

計算機（１１０２）は、リモートコンピューター（単数又は複数）（１１４８）のような１つ以上のリモートコンピューターと有線通信及び／又は無線通信を介する論理的な接続を使用し、ネットワーク環境において作動し得る。リモートコンピューター（単数又は複数）（１１４８）は、ワークステーション、サーバーコンピューター、ルーター、パーソナルコンピューター、携帯用計算機、マイクロプロセッサーベースの娯楽機器、ピア装置、又は別の一般的なネットワークノードであり得、通常、計算機（１１０２）に関連する前述されたエレメントの大多数又はすべてを含むが、簡単化のためにメモリー／ストレージ（１１５０）だけを例示する。示された論理接続は、ローカルエリアネットワーク（ＬＡＮ）（１１５２）及び／又は更に大規模なネットワーク、例えば広域ネットワーク（ＷＡＮ）（１１５４）との有線接続／無線接続を含む。そのようなＬＡＮ及びＷＡＮネットワーク環境は、オフィス及び会社において一般的であって、イントラネットのような企業全体の計算機ネットワークを円滑にし、そのすべては、グローバル通信ネットワーク、例えばインターネットと接続し得る。 Computer (1102) may operate in a network environment using logical connections via wired and / or wireless communication with one or more remote computers, such as remote computer (s) (1148). The remote computer (s) (1148) can be a workstation, server computer, router, personal computer, portable computer, microprocessor-based entertainment device, peer device, or another common network node, typically , Which includes the majority or all of the previously described elements associated with computer (1102), but for simplicity only memory / storage (1150) is illustrated. The logical connections shown include a wired / wireless connection with a local area network (LAN) (1152) and / or a larger network, such as a wide area network (WAN) (1154). Such LAN and WAN network environments are common in offices and businesses and facilitate enterprise-wide computer networks such as intranets, all of which can be connected to a global communications network, such as the Internet.

ＬＡＮネットワーク接続環境において使用されるとき、計算機（１１０２）は、有線及び／又は無線通信ネットワークインターフェース又はアダプター（１１５６）を介しローカルネットワーク（１１５２）に接続される。アダプター（１１５６）は、無線アダプター（１１５６）と通信するために、それに配置される無線アクセスポイントも含み得るＬＡＮ（１１５２）との有線又は無線通信を円滑にし得る。 When used in a LAN networking environment, the computer (1102) is connected to the local network (1152) via a wired and / or wireless communication network interface or adapter (1156). The adapter (1156) may facilitate wired or wireless communication with the LAN (1152), which may also include a wireless access point disposed thereon, to communicate with the wireless adapter (1156).

ＷＡＮネットワーク環境において使用されるとき、計算機（１１０２）は、モデム（１１５８）を含み得るか又はＷＡＮ（１１５４）上の通信サーバーに接続され、インターネットのような方法でＷＡＮ（１１５４）を介して通信を確立するための別の手段を有する。内蔵又は外付けであって有線又は無線装置であり得るモデム（１１５８）が、シリアルポートインターフェース（１１４２）を介しシステムバス（１１０８）に接続される。ネットワーク接続環境においては、計算機（１１０２）又はその一部に関連し表示されているプログラムモジュールが、リモートメモリー／ストレージ（１１５０）にストアされ得る。示されたネットワーク接続が例示的であって、計算機の間の通信リンクを確立するための他の手段が使用され得ることを十分理解されよう。 When used in a WAN network environment, the computer (1102) may include a modem (1158) or connected to a communication server on the WAN (1154) and communicate via the WAN (1154) in a manner like the Internet. Have another means to establish A modem (1158), which may be a built-in or external, wired or wireless device, is connected to the system bus (1108) via a serial port interface (1142). In a networked environment, program modules displayed in association with the computer (1102) or a portion thereof may be stored in the remote memory / storage (1150). It will be appreciated that the network connections shown are exemplary and other means for establishing a communications link between the computers can be used.

計算機（１１０２）は、無線通信を用いて作動的可能に配置される任意の無線装置又はエンティティ、例えば、プリンター、スキャナー、デスクトップ、及び／又は携帯用計算機、携帯用データアシスタント、通信衛星、任意の設備部品、又は無線で検出可能なタグに関連付けられた場所（例えばキオスク、新聞売店、トイレ）及び電話と作動可能に通信する。これは、少なくとも無線（Ｗｉ−Ｆｉ）及びブルートゥース（登録商標）無線技術を含む。このように通信は、少なくとも２つの装置の間の従来のネットワーク又は簡易なアドホック通信を用いるような所定の構造であり得る。 A computer (1102) can be any wireless device or entity that is operatively arranged using wireless communication, such as a printer, scanner, desktop, and / or portable computer, portable data assistant, communications satellite, any Operately communicate with equipment parts or locations (eg, kiosks, newspaper shops, toilets) and telephones associated with wirelessly detectable tags. This includes at least wireless (Wi-Fi) and Bluetooth® wireless technologies. Thus, the communication can be a predetermined structure such as using a conventional network or simple ad hoc communication between at least two devices.

無線又はワイヤレス・フェディリティは、自宅の寝椅子、ホテルルームのベッド、又は職場の会議室から無線でインターネットに対する接続を可能にする。無線は、そのような装置、例えば計算機が、携帯電話において使用されるものと同様の基地局の範囲内のどこでも屋内及び屋外にあるデータの送信及び受信を可能にする無線技術である。無線ネットワークは、安全で信頼できる高速無線接続性を提供するためにＩＥＥＥ８０２．１１ｘ（ａ，ｂ，ｇなど）と呼ばれる無線通信技術を使用する。無線ネットワークは、インターネット及び（ＩＥＥＥ８０２．３又はイーサネット（登録商標）を使用する）有線ネットワークと、相互に計算機を接続するために使用され得る。 Wireless or wireless feasibility allows connection to the Internet wirelessly from a chaise longue at home, a bed in a hotel room, or a meeting room at work. Wireless is a wireless technology that allows such devices, such as computers, to transmit and receive data that is indoors and outdoors anywhere within the range of a base station similar to that used in mobile phones. Wireless networks use a wireless communication technology called IEEE 802.11x (a, b, g, etc.) to provide secure and reliable high-speed wireless connectivity. The wireless network can be used to connect computers to each other with the Internet and wired networks (using IEEE 802.3 or Ethernet).

ここで図１２を参照し、安全でないプロビジョニングを円滑にする例示的な計算環境（１２００）及びドメイン加入エミュレーションの概略ブロック図を例示する。システム（１２００）は、１つ以上のクライアント（１２０２）を含む。クライアント（１２０２）は、ハードウェア及び／又はソフトウェア（例えば、スレッド、プロセス、計算装置）であり得る。クライアント（１２０２）は、例えば、クッキー（単数又は複数）及び／又は関連するコンテキスト情報を格納する。 Referring now to FIG. 12, a schematic block diagram of an exemplary computing environment (1200) and domain subscription emulation that facilitates insecure provisioning is illustrated. The system (1200) includes one or more clients (1202). Client (1202) may be hardware and / or software (eg, threads, processes, computing devices). The client (1202) stores, for example, cookie (s) and / or associated context information.

システム（１２００）も、１つ以上のサーバー（１２０４）を含む。サーバー（１２０４）も、ハードウェア及び／又はソフトウェア（例えば、スレッド、プロセス、計算装置）であり得る。サーバー（１２０４）は、本アーキテクチャを使用することによって、例えば変換を実行するためのスレッドを格納する。クライアント（１２０２）とサーバー（１２０４）の間の一可能な通信は、２つ以上の計算機プロセスの間に送信されるように適応したデータパケット形式であり得る。データパケットは、例えばクッキー及び／又は関連する文脈情報を含み得る。システム（１２００）は、クライアント（１２０２）とサーバー（１２０４）の間の通信を円滑にするために使用され得る（例えばインターネットのようなグローバル通信ネットワーク）通信フレームワーク（１２０６）を含む。 The system (1200) also includes one or more servers (1204). Server (1204) may also be hardware and / or software (eg, threads, processes, computing devices). Server (1204) uses this architecture to store threads for performing transformations, for example. One possible communication between a client (1202) and a server (1204) may be in the form of a data packet adapted to be transmitted between two or more computer processes. The data packet may include, for example, a cookie and / or associated context information. The system (1200) includes a communication framework (1206) that can be used to facilitate communication between a client (1202) and a server (1204) (eg, a global communication network such as the Internet).

通信は、（光ファイバーを含む）有線技術及び／又は無線技術を介し円滑にされ得る。クライアント（１２０２）は、クライアント（１２０２）にローカル情報（例えば、クッキー（単数又は複数）及び／又は関連する文脈情報）をストアするために使用され得る１つ以上のクライアントデータストア（１２０８）と作動可能に接続される。同様にサーバー（１２０４）は、サーバー（１２０４）にローカル情報をストアするために使用され得る１つ以上のサーバーデータストア（１２１０）と作動可能に接続される。 Communication can be facilitated via wired technology (including optical fiber) and / or wireless technology. The client (1202) operates with one or more client data stores (1208) that may be used to store local information (eg, cookie (s) and / or associated contextual information) on the client (1202). Connected as possible. Similarly, server (1204) is operatively connected to one or more server data stores (1210) that may be used to store local information on server (1204).

図１の双方のクライアント（１２０２）は、プロキシサーバー（１０６）に対するアクセスを求めているクライアント（１０２）を含み得る。図２の双方のデータストア（２０４）及び認証機関（２０８）は、サーバー（１２０４）であり得、企業のバックエンドサーバーでもあり得る。 Both clients (1202) of FIG. 1 may include a client (102) seeking access to a proxy server (106). Both the data store (204) and certificate authority (208) of FIG. 2 can be servers (1204) and can also be enterprise back-end servers.

前述された内容は、開示されたアーキテクチャの例を含む。コンポーネント及び／又は方法論に関して考えられ得るあらゆる組み合わせを説明することが、当然、不可能であるが、当業者は、更に多数の組み合わせ及び置換があり得ることを認め得よう。したがって、新たなアーキテクチャが、添付された請求項の趣旨及び範囲内に収まるような変更、修正及び変形のすべてを包含するように意図されている。更に、用語「含む」が、詳細説明又は請求項のいずれかにおいて使用される範囲内において、「から成る」が請求項において遷移的な言葉として使用されるときに解釈されるように、そのような用語は、用語「から成る」と同様に包括的であることを意図している。 What has been described above includes examples of the disclosed architecture. Of course, it is not possible to describe every possible combination of components and / or methodologies, but those skilled in the art will recognize that there can be many more combinations and substitutions. Accordingly, the new architecture is intended to embrace all such alterations, modifications and variations that fall within the spirit and scope of the appended claims. Further, as used in the detailed description or in the claims, the term “comprising” is to be interpreted as “consisting of” when used as a transitional word in a claim. The terminology is intended to be as inclusive as the term “consisting of”.

１００ドメインメンバー資格管理システム
１０２モバイルクライアント
１０４プライベートドメイン
１０６登録プロキシサーバー
１０８ブートストラップコンポーネント
１１０認証コンポーネント
２００ドメインメンバー資格管理システム
２０２装置
２０４ドメインデータストア
２０６マシンアカウント
２０８ドメイン認証機関
３００モバイル装置
３０２ワンタイムパスワード（ＯＴＰ）
３０４情報
３０６仲介データストア
１１００計算システム
１１０２計算機
１１０４処理ユニット
１１０６システムメモリー
１１０８システムバス
１１１０読み出し専用メモリー（ＲＯＭ）
１１１２ランダムアクセスメモリー（ＲＡＭ）
１１１４内蔵ハードディスクドライブ（ＨＤＤ）
１１１６磁気フロッピー（登録商標）ディスクドライブ（ＦＤＤ）
１１１８取り外し可能ディスケット
１１２０光ディスクドライブ
１１２２ＣＤ−ＲＯＭディスク
１１２４ハードディスクドライブインターフェース
１１２６磁気ディスクドライブインターフェース
１１２８光ドライブインターフェース
１１３０オペレーティングシステム
１１３２アプリケーションプログラム
１１３４他のプログラムモジュール
１１３６プログラムデータ
１１３８キーボード
１１４０マウス
１１４２入力装置インターフェース
１１４４モニター
１１４６ビデオアダプター
１１４８リモートコンピューター
１１５０メモリー／記憶装置
１１５２ローカルエリアネットワーク（ＬＡＮ）
１１５４広域ネットワーク（ＷＡＮ）
１１５６無線通信ネットワークインターフェース又はアダプター
１１５８モデム
１２００計算環境
１２０２クライアント
１２０４サーバー
１２０６通信フレームワーク
１２０８クライアントデータストア
１２１０サーバーデータストア 100 Domain Member Credential Management System 102 Mobile Client 104 Private Domain 106 Registration Proxy Server 108 Bootstrap Component 110 Authentication Component 200 Domain Member Credential Management System 202 Device 204 Domain Data Store 206 Machine Account 208 Domain Certificate Authority 300 Mobile Device 302 One Time Password ( OTP)
304 Information 306 Mediation Data Store 1100 Computing System 1102 Computer 1104 Processing Unit 1106 System Memory 1108 System Bus 1110 Read Only Memory (ROM)
1112 Random access memory (RAM)
1114 Internal hard disk drive (HDD)
1116 Magnetic floppy disk drive (FDD)
1118 Removable diskette 1120 Optical disk drive 1122 CD-ROM disk 1124 Hard disk drive interface 1126 Magnetic disk drive interface 1128 Optical drive interface 1130 Operating system 1132 Application program 1134 Other program modules 1136 Program data 1138 Keyboard 1140 Mouse 1142 Input device interface 1144 Monitor 1146 Video adapter 1148 Remote computer 1150 Memory / storage device 1152 Local area network (LAN)
1154 Wide area network (WAN)
1156 wireless communication network interface or adapter 1158 modem 1200 computing environment 1202 client 1204 server 1206 communication framework 1208 client data store 1210 server data store

Claims

A system (100) implemented in a computer for managing domain membership,
A domain proxy bootstrap component (108) for receiving user credentials from mobile clients seeking access to the domain;
An authentication component (110) of the proxy for authenticating the mobile client to the domain based on the user credentials.

The system of claim 1, wherein the user credentials include at least one of a user name or a password.

The system of claim 1, wherein the authentication component generates a machine account for the mobile client based on the user credentials.

The system of claim 1, wherein the mobile client is a mobile phone that communicates the user credentials over an insecure wireless interface.

A domain member credential management method implemented in a computer,
Receiving from a mobile device a credential for joining a domain, wherein the credential is received by a proxy server of the domain via a wireless interface (400);
Establishing a trust relationship between the mobile device and the proxy server based on the credentials (402);
Generating a machine account for the mobile device in the domain based on the trust relationship via the proxy server (404);
Joining the mobile device to the domain based on the machine account (406).

6. The method of claim 5, wherein the credential includes at least one of a user name and a one-time password (OTP) or a device ID.

6. The method of claim 5, further comprising receiving a hash key encoding digest of a generic encryption species from the mobile device via a web service.

8. The method of claim 7, further comprising receiving the hash key code digest from the web service using channel encryption.

6. The method of claim 5, further comprising generating a hash key encoded digest of a domain credential at the proxy server based on an encryption key.

Further, transmitting the hash key code digest and the root credential to the mobile device for verification by the mobile device; and establishing the trust relationship based on a successful verification by the mobile device; The method of claim 5 comprising:

6. The method of claim 5, further comprising enabling the mobile client to reconnect to the proxy server using server full credentials with channel encryption for a verification process.

6. The method of claim 5, further comprising verifying that the proxy server credentials are linked back to the domain credentials associated with the full trust relationship.

6. The method of claim 5, further comprising storing a signed domain credential on the mobile device as part of a registration process.

6. The method of claim 5, further comprising: logging into the machine account on behalf of the mobile client; and submitting a credential request to the domain certification authority for a signed certificate.

15. The method of claim 14, wherein the signed credential is returned to the mobile client.

In addition, using the OTP, an encryption key derived from the OTP, a name for the new machine account, a reference to the owner of the client, the fully qualified domain name of the target container for the new machine account, or the encryption key 6. The method of claim 5, comprising storing at least one of the derived general encryption species hash machine authentication code (HMAC) digest in a domain data store.

6. The method of claim 5, further comprising the step of disabling the proxy server support for the mobile client after the subscription operation.

6. The method of claim 5, wherein the trust relationship is a private trust relationship.

6. The method of claim 5, further comprising enrolling the mobile device in the domain that is a private domain based on machine identity credentials rather than user credentials.

Means (108) implemented in a computer to receive a credential for joining a domain from a mobile device, wherein the credential is received by a proxy server of the domain over a wireless interface When,
Means (110) implemented in a computer for establishing a trust relationship between the mobile device and the proxy server based on the credentials;
Means (106) implemented in a computer for generating a machine account for the mobile device in the domain based on the trust relationship via the proxy server;
Means implemented in a computer for joining the mobile device to the domain based on the machine account (106).